VPN чиглүүлэгч дээр ажиллах үед STUN хариулт юуг илчилдэг вэ
Чиглүүлэгчийн туннелийн хаяг нь хөтчийн локал хаяг биш. Ойлгогч юу мэдээлдэгийг уншихаас өмнө хүсэлт бүр хэрхэн чиглүүлэгдэж, хөрвүүлэгддэгийг дагаарай.
Туннель чиглүүлэгч дээр байх үед хөтчийг ажиллуулж буй машин туннелийн интерфейс огтгүй байна. Тэр машинаас локал хаягуудыг нь асуувал хувийн LAN хаяг болон буцах гогцоо гарна, VPN хаягтай төстэй зүйл байхгүй. Гэсэн хэдий ч нөгөө талын STUN сервер замналын талаар ач холбогдолтой зүйлийг мэдээлсээр байж болох бөгөөд юу мэдээлэх нь тухайн хүсэлт хэрхэн чиглүүлэгдэж, хөрвүүлэгдсэнээс бүрэн хамаарна.
Яг энэ хэсэгт удаашрах нь үнэ цэнэтэй. «Хөтөч VPN хаягийг эзэмшдэггүй» гэдэг нь интерфейсийн тухай асуултад хариулна, харин ойлгогдсон хаяг нь хөрвүүлэлтээр дамжих замналын тухай хариулт юм. Хоёулыг хольсон нь нотолгоогоор дэмжигдэхгүй илчлэлтийн тухай итгэлтэй дүгнэлт гаргадаг.
Хоёр төхөөрөмж, интерфейсийн хоёр багц
Чиглүүлэгчид суурилсан тохиргоонд туннель чиглүүлэгч дээр төгсөж, LAN клиент ердийн урсгалыг өөрийн өгөгдмөл гарц руу илгээдэг. Клиентийн интерфейсийн жагсаалт богино хэвээр байна: нэг хувийн хаяг, өөр сүлжээнд зориулсан хоёр дахь нь, буцах гогцоо. Эрсдэл нь тэдгээрийн нэг нь санамсаргүйгээр туннелийн хаяг болох нь биш; эрсдэл нь хүсэлт таны сонгоогүй замаар гарах явдал юм.
Клиентээс тодорхой очих газар ямар зам авахыг асуугаарай, ямар интерфейс байгааг асуухын оронд. Хариулт нь гарц болон цөм ашиглах эх сурвалжийн хаягийг нэрлэдэг бөгөөд энэ нь ямар ч хаягийн жагсаалтаас илүү мэдээлэлтэй юм.
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsБаримт бичгийн хүрээнүүд туршилтын очих газарт тохиромжтой, учир нь тэд хэзээ ч бодит үйлчилгээ рүү шийдэгддэггүй. Клиент юу гэж хэлж байгааг чиглүүлэгч юу гэж хэлж байгаатай харьцуулж, аливаа зөрүүг бодлогын чиглүүлэлт, хуваагдсан туннелийн дүрэм эсвэл хоёр дахь өгөгдмөл зам таны тооцоогүй зүйл хийж байгаагийн нотолгоо гэж үзээрэй.
Binding хариулт юу хэлж болох вэ
RFC 8489 нь Binding хүсэлт ба хариултыг тодорхойлдог бөгөөд сервер тухайн хүсэлтэд ажигласан эх сурвалжийн тээврийн хаягийг мэдээлдэг. Энэ нь нэг мөчид нэг тавтын тухай мэдэгдэл бөгөөд клиентийн интерфейсийн тооллого биш. Тиймээс сонирхолтой бүхэн клиент ба ажиглалтын цэгийн хооронд болдог.
Тэр цоорхойг чиглүүлэлт болон хөрвүүлэлт дүүргэдэг. Гарах урсгалд эх сурвалжийн NAT хийдэг чиглүүлэгч клиентийн хувийн эх сурвалжийг гарах интерфейс дээрх өөрийн хаягаар сольдог. Тэр интерфейс нь туннель бол ойлгогч туннелийн хаягийг харна. Пакетыг туннелээс хассан бол ойлгогч WAN хөрвүүлэлт юу үүсгэснийг харна. Ижил клиент, ижил ойлгогч, өөр хариулт.
Адилхан харагдах боловч тийм биш гурван тохиолдол
Хэрэгтэй ялгаа нь нийтийн болон хувийн хооронд биш, харин пакетыг аль гүйцэтгэлийн цэг боловсруулсан явдал юм. Тохиолдлуудыг чиглүүлэгчийн өөрийн хүснэгтүүд нээлттэйгээр үзээрэй, учир нь нэг хөтөч гуравуулыг ч бичихээ мартсан дүрмээс хамааран үүсгэж чадна.
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
Зөвхөн хоёр дахь тохиолдол нь тодорхой урсгал хэзээ ч шууд гарахгүй байх шаардлагыг зөрчиж, зөвхөн эхний болон гурав дахь нь туннелийн талын танигчийг илчилдэг. Гурван мөрийн аль нь ч тодорхой үйлчилгээ үзүүлэгчийн зан төлөвийн тухай мэдэгдэл биш: хувийн ойлгогч хүрч болох эсэх нь чиглүүлэлт, нөгөө талын зөвшөөрөгдсөн IP хаяг, хоёр төгсгөлийн галт хананы бодлогоос хамаарна.
Ижил үйлчилгээ үзүүлэгчид бүртгэлтэй байх нь эдгээрийн аль нэгийг ч батлахгүй. Чиглүүлсэн хүсэлт юу ч хөрвүүлэхгүй бол клиентийн LAN эх сурвалжийг хадгалж болохыг санах нь зүйтэй, тиймээс эх сурвалжийн талбарыг топологийн зургаас таамаглахгүй, мөрдөх ёстой.
Цуглуулах нь сонгох биш
WebRTC туршихаар нэр дэвшигч хаягуудыг цуглуулдаг бөгөөд оношилгооны жагсаалтад гарсан нэр дэвшигч медиа хэзээ ч зөөхгүй байж болно. Жагсаалтыг «нөгөө тал үүнийг сурсан» гэж унших нь нотолгоог хэтрүүлэн үнэлдэг. Сонгогдсон хос нь сессийг үнэхээр зөөсөн хос бөгөөд өөр талбарт байдаг.
HTTPS гарах шалгуур өөр нэг асуултад хариулдаг: веб сервер тухайн хүсэлтэд харсан эх сурвалжийн хаяг. Энэ нь UDP ойлгогчоос өөр протокол, ихэвчлэн өөр очих газар ашигладаг тул ашигтай хөндлөн шалгалт бөгөөд хоёрын зөрүү нь ихэвчлэн алдаа биш, чиглүүлэлтийн дүрэм рүү заадаг.
Бодлогыг шийдээд хариултыг уншаарай
Туршилтын өмнө зорилгоо бичиж аваарай: ямар урсгал туннель ашиглах ёстой, аль нь шууд гарч болох, ямар хаягийн гэр бүл хамрах, туннель унасан үед юу болох ёстой. Тэр суурь шугамгүйгээр ажиглалт бүр хоёрдмол утгатай, учир нь санаатай зөвшөөрсөн замаас алдагдлыг ялгаж чадахгүй.
Дараа нь нэг удаад нэг асуулт асуугаарай. Энэ очих газар ямар зам авдаг. Энэ ойлгогч ямар хаяг мэдээлдэг. Сесси ямар нэр дэвшигч хос сонгосон. Хариултуудыг бодлогын хажууд хадгалж, огноо тавь, учир нь програм хангамжийн шинэчлэл өнгөрсөн жилийн дүгнэлтийг чимээгүйгээр хүчингүй болгох байдлаар өгөгдмөл зан төлөвийг өөрчилж болно.
Чиглүүлэгч нь одоо ч хүчтэй гүйцэтгэлийн цэг, учир нь клиент өөрийгөө дахин тохируулахгүйгээр тойрч чадахгүй урсгалыг хардаг. Энэ нь програм бүрийн протоколын талбар бүр юу ч илчилдэггүй гэсэн амлалт биш бөгөөд зөвшөөрөхөөр сонгосон замуудыг бичиж авахыг орлохгүй.